Cilësimet e VPN-së në Mac nuk nisin një server: ku banon porta

Dy punë të ndryshme mbajnë emrin VPN në macOS, dhe paneli i cilësimeve merret vetëm me njërën prej tyre. Nëse doni që trafiku i këtij Mac të dalë përmes një ofruesi ose një porte të largët, mjafton një zë klienti. Nëse doni të arrini printerin, NAS-in ose një faqe administrimi në rrjetin shtëpiak nga një dhomë hoteli, diçka në atë rrjet duhet të pranojë lidhje nga jashtë, dhe një Mac i sotëm nuk është ajo diçka menjëherë. Tri pyetje përcaktojnë në cilin rast jeni, dhe ia vlen t'u përgjigjeni para se të shkruani një adresë në një fushë.

Një zë klienti emërton një destinacion, jo një dëgjues

Në Cilësimet e Sistemit > Rrjeti > VPN në macOS Ventura dhe më pas, fushat që versionet e vjetra i mbajnë nën Preferencat e Rrjetit përshkruajnë si të arrini pikën fundore të dikujt tjetër: një adresë serveri, një ID të largët, një llogari ose certifikatë, dhe rregulla opsionale lidhjeje sipas kërkesës. Ruajtja e atij zëri ruan një lidhje në konfigurimin e rrjetit të Mac-ut tuaj. Asgjë në proces nuk lidh një port, nuk hap një dëgjues ose nuk regjistron një përdorues të largët.

Mund ta kontrolloni këtë nga shell. Në një Mac që dyshoni se po shërben, ekzekutoni sudo lsof -nP -iUDP dhe kërkoni portet që përdor protokolli juaj: 500 dhe 4500 për IKEv2, 1194 për parazgjedhjen e OpenVPN, 51820 për WireGuard. Një makinë vetëm klient shfaq soketa të çiftuara me një adresë dhe port të largët, jo një lidhje gjithëpërfshirëse që çdo gjë në internet mund ta arrinte. Tunelat që ekzekutohen brenda një Network Extension mund të fshihen nga lsof, ndaj kontrolloni gjithsesi panelin e statusit të aplikacionit; ajo që nuk do të gjeni është një preferencë Apple që e kthen këtë Mac në portë.

Tri pyetje ndajnë dy rolet

Kaloji me radhë. E para zakonisht vendos për pjesën tjetër, dhe e treta është vendi ku planifikimi specifik për Mac gabon më shumë.

1. Kush e fillon bisedën? Nëse Mac-i juaj telefonon nga jashtë dhe pala tjetër përgjigjet, ju duhet një klient. Nëse pajisjet në internet duhet të telefonojnë nga brenda për të arritur rrjetin tuaj, ju duhet një portë me një pikë hyrjeje publike, dhe Mac-i mund të mbetet klient i asaj porte.

2. Çfarë duhet të jetë e arritshme ndërsa tuneli është lart? Një shërbim në një host është një vendim për përcjelljen e porteve. Një nënrrjet i tërë, duke përfshirë zgjidhjen e emrave, është një vendim për rrugëtimin dhe DNS, dhe ndryshon atë që porta duhet të përcjellë, jo atë që thotë zëri i klientit.

3. Cili version i sistemit ekzekuton skajin pritës? Për Mac-et kjo pyetje ka një përgjigje të prerë. Apple e liston VPN si të hequr nga macOS Server 5.7.1, dhe vetë aplikacioni macOS Server u ndërpre më 21 prill 2022; njoftimi për historikun e shërbimit është faqja që duhet lexuar kur një tutorial i vjetër ju kalon nëpër një kuti shërbimi VPN që nuk ekziston më.

Kur përgjigjja e parë është “dikush nga jashtë fillon”, ndaloni kërkimin e një çelësi në panelin e klientit të Mac-ut dhe shkoni të zgjidhni hostin që do të përfundojë tunelin.

Ku mund të banojë porta në vend të kësaj

Katër rregullime mbulojnë shumicën e rasteve shtëpiake dhe të zyrës së vogël. Një router me një modalitet të vërtetë serveri, në ndryshim nga një modalitet klienti me një etiketë tjetër, e përfundon tunelin në buzë dhe e mban të ulët numrin e hosteve, me çmimin e lidhjes me mbështetjen e protokolleve të atij firmware. Një NAS ose një mini PC gjithmonë i ndezur ekzekuton paketën e serverit të prodhuesit dhe ju lë regjistra që mund t'i lexoni. Një VM i vogël në re ju jep një adresë publike që ju kontrolloni dhe arrin shtëpinë përmes një tuneli të dytë. Një shtresë mesh e ndërtuar mbi WireGuard, ose një shërbim i menaxhuar që përcjell midis palëve, shmang përcjelljen e porteve hyrëse duke i bërë të dy skajet të telefonojnë nga jashtë.

Kufiri midis atyre opsioneve është zakonisht lidhja juaj e internetit, jo software-i. Nëse ISP-ja ju vendos pas një NAT të nivelit të operatorit, asnjë sasi përcjelljeje portesh në router nuk prodhon një pikë hyrjeje të arritshme, dhe një rregullim me relay ose mesh është përgjigjja e ndershme. Krahasoni adresën WAN që raporton router-i juaj me adresën që sheh bota e jashtme; nëse ndryshojnë dhe vlera e router-it qëndron në një interval privat ose të përbashkët, planifikoni për rastin e relay-it.

Çfarëdo hosti që zgjidhni, përcillni një protokoll në një port dhe jo një interval, dhe mbajeni Mac-un jashtë rrugës hyrëse, përveç nëse ai produkt specifik dokumenton një rol serveri për versionin e macOS që ekzekutoni.

Konfirmoni rolin para se të shpërndani profilet

Në portën kandidate, provoni se ekziston një dëgjues në vend që të besoni se instaluesi krijoi një. Në macOS kjo do të thotë sudo lsof -nP -iUDP i filtruar për portet më sipër, plus sudo pfctl -s nat nëse rregullat e filtrit të paketave janë pjesë e projektimit. Në Linux, ss -lunp tregon të njëjtat fakte pa paqartësi.

Pastaj testoni nga jashtë rrjetit, duke përdorur vetë protokollin. Ping provon pak: ICMP filtrohet shpesh dhe nuk thotë asgjë për UDP 51820. Një shtrëngim duarsh klienti me regjistrim të hollësishëm, i ekzekutuar nga një telefon me të dhëna celulare, është testi i vërtetë më i lirë sepse kalon në të njëjtën rrugë që do të kalojë një koleg i largët.

Vetëm pas kësaj i prekni profilet e klientit. Në Mac, scutil --nc list shtyp shërbimet VPN që njeh sistemi; nëse porta që sapo ndërtuat nuk është midis tyre, po konfiguroni një makinë tjetër nga ajo që testuat. Nëse shtrëngimi i duarve ka sukses në LAN por dështon nga jashtë, faji është në rrugën hyrëse: rregull NAT, CGNAT i ofruesit, ose një firewall në portë, në atë rend.

Para se të ndërtoni çdo gjë, zgjidhni katër pika:

• Cila anë e nis lidhjen, Mac-i juaj apo një pajisje e largët.
• Nëse versioni i sistemit dhe produkti i hostit pritës mbështesin vërtet një rol serveri.
• Nëse ISP-ja juaj ju jep fare një adresë publike të arritshme.
• Cilin port dhe protokoll të vetëm do të pranojë porta, dhe cili shërbim pas saj përgjigjet.

Hapi tjetër është konkret: zgjidhni hostin e portës, konfirmoni dëgjuesin e saj nga jashtë, dhe vetëm atëherë krijoni në Mac zërin e klientit që tregon drejt saj.